如何跟踪选定进程内核模式下的ALPC调用并获取其通信PID列表？

核心实现思路 #

• 方案1：HOOK ALPC核心调用函数
  优先选择HOOK NtAlpcSendWaitReceivePort、NtAlpcConnectPort 等系统调用的内核实现，也可根据系统版本定位未导出的内核函数如 AlpcpSendMessage 进行HOOK。触发调用时先校验当前进程是否为目标PID，匹配后从ALPC消息/端口对象中提取对端进程PID，存入自维护的哈希表或链表完成采集。
  该方案灵活性高，可自定义采集逻辑，但需要处理不同Windows版本的函数兼容性，且要注意规避PatchGuard检测

• 方案2：基于ETW内核回调实现
  在内核中注册ETW事件回调，监听系统内置的Microsoft-Windows-Kernel-ALPC提供器抛出的事件，可直接捕获ALPC-SendMessage、ALPC-ConnectPort等事件，事件原生携带源PID、目标PID、端口名称等字段，无需手动解析内核对象。
  该方案无需修改内核函数，兼容性好、稳定性高，是纯采集场景的首选实现

• 方案3：对象管理器回调监控
  调用ObRegisterCallbacks注册ALPC端口对象的操作回调，监控目标PID对ALPC端口的连接、消息发送操作，从端口对象的关联上下文中提取对端进程PID完成采集。
  该方案轻量化，无需HOOK，适合仅需监控连接建立场景的需求

注意事项 #

• 采集PID时需同步记录对应进程的启动时间戳，避免PID复用导致数据匹配错误
• 多CPU并发场景下，存储采集结果的容器需要加自旋锁保护，避免数据竞争引发的内核崩溃
• 如需将数据同步到用户态，可通过IOCTL、共享内存等方式实现实时推送
• 采用HOOK方案时不要硬编码函数偏移，建议用特征码动态定位目标函数，适配不同Windows版本

内容的提问来源于stack exchange，提问作者shluvme